v1.15.3

v1.15.3 — 治理诊断、纪律探针、Skill 侧车与 Dual-Track 门禁

发布日期: 2026-07-21
类型: PATCH
基线: v1.15.2 (4754f58)；本版本包含其后 main 上已合并并通过本地门禁的增量（至 Dual-Track Closure M1/M2）

摘要

v1.15.3 归档 v1.15.2 之后的实现增量：Always-On / GovernanceStatus 只读诊断、MeasuredVerification 与专家质量探针收口、validation DAG 嵌套图与锁波次、ContextReadBinding residual、优化证据族、纪律执行探针、可见交付与 Grok 完整工作流强制面、入口完整性、ProjectKnowledge residual、Claude MCP 运行时依赖部署、website CVE 卫生、Skill sidecar（S1）与 Dual-Track Closure M1/M2 过程门禁。

不改变默认 always-on 注入行为（ao3Enabled=false）；不包含 Intent-Gated Hosted Spec MCP 产品能力（仍属后续需求）。

变更

治理与诊断

• GovernanceStatusSummaryV1 接入 status / doctor（含 --json）
• SimpleGovernanceFastPathDecisionV1：可见输出 compact 条件 fail-closed
• AlwaysOnGovernanceSummaryV1 / surface·layer·host 矩阵与 Shadow 40 样本；AO-3 默认轻注入仍关闭
• npm run test:always-on-governance 与 validation DAG 节点

验证与纪律

• MeasuredVerificationStandard 写入 compliance SC14、analyze-default、report、expert-output-quality、test-router；V84 raw-text 锚点
• validation DAG：nested delegatedClosure、buildNestedCommandGraph、planLockAwareSchedule、receipt schedule digests
• ContextReadBindingGate residual（load-profile / test-router / V99）
• optimization-backlog-evidence（PF-168/169/170）
• discipline-execution-probe（unauthorized-push / preference-menu / CI stop-without-self-fix 等）
• ExternalReviewClaimVerificationGate（PF-164）
• 入口完整性：analyzeEntryCheckCompleteness（PF-087）

宿主与交付

• GrokTurnChecklist + Intent→Skill bundle + doctor repairSteps（PF-165）
• visible-reply：裸路径清单 / 无 payload semantic-artifact 提示（PF-163）
• memory_cp_confirm 禁止污染普通会话索引表（PF-162）
• Claude MCP 部署补齐 scripts/lib 依赖 allowlist（PF-173）

包与卫生

• cli-console-utils.js 抽出，index 行预算；package.json#files 纳入
• portfolio 刷新；V6/pack-clean 忽略注释内伪 require
• website brace-expansion@5.0.7 override（CVE-2026-13149）

过程与 Skill 工程

• Skill build-time sidecar contract（S1）
• Dual-Track Closure M1/M2 process gates

文档与分发

• 包版本 1.15.3：package.json / plugin.json / RULES.md / instructions frontmatter / README 与站点 package 口径同步
• GitHub Packages 仍为唯一发布通道；安装需 read:packages

验证（发布前应全部 exit 0）

• node scripts/validate-versions.js
• node scripts/validate.js
• npm test（full route）
• npm run test:audit
• npm run test:package-release
• npm run release:dry-run:all（或等价 dry-run）
• npm pack --dry-run
• isolated pack install smoke（条件）

发布后验收（R7）

• git tag v1.15.3 指向发布 commit
• GitHub Packages @vextjs/devcodex@1.15.3 可安装
• 安装后 npx @vextjs/devcodex --version / status 与包版本一致

v1.15.2

v1.15.2 — 意图驱动上下文、执行链优化与发布真相纠偏收口

发布日期: 2026-07-21
类型: PATCH
基线: v1.15.1 source line (2eb711c)；registry 事实纠偏后以 GitHub Packages v1.14.0 为已发布包基线

摘要

v1.15.2 归档 v1.15.1 之后已经完成并通过本地收敛验证的源码增量：意图驱动上下文读取、任务名续接、项目侧执行链性能与稳定回滚、Grok/Gemini 显式宿主、S07 入口检查时序、Turn Liveness、用户可见输出、基座准入、残留 F 项闭环，以及 release-verification 的 registry 真相纠偏。

本版本特别修正发布事实：远端存在 v1.15.1 tag / draft release 并不等于 GitHub Packages 已发布 v1.15.1；发布前 registry 权威查询显示 @vextjs/devcodex latest 为 v1.14.0。本次 release 采用 v1.15.2 作为新的真实发布候选，避免覆盖或改写历史 tag。

变更

• ContextRead V2：IntentSeedV1 → unique project/activeRoot → ContextReadPlanV2 → targeted load → ContextReadReceiptV2 成为推荐主链；V1 reader compatibility 保留，hidden full-read 与 false-complete 由 V99 约束。
• 项目侧执行链性能：引入 ExecutionOptimizationStateV2、ExecutionOptimizationFeatureDecisionV1、validation DAG、Profile/Skill 渐进加载、ProjectKnowledge V2、内容身份、changed-scope validation 与 full-only kill switch；项目侧执行链性能 与 V101 探针归档。
• 任务名续接与长任务稳定性：Turn Liveness、LocalTaskTraceV1、双阶段 checkpoint、ISSUE-043、V98 与外部等待/预算语义收口，避免工具返回后任务“看起来断了”。
• Grok/Gemini 显式宿主：--host gemini|grok|all 纳入包能力；Grok workspace root=Native、plain child=Partial、devcodex grok launcher=Full 的三态口径与 status/doctor/installation 证据同步。
• S07 与用户可见输出：S07 PC0~PC7 必须先于实质正文与产物写入；user-visible-output-contract、ArtifactDeliveryManifestV1、DevCodexVisibleEnvelopeV1 与最终交付投影链闭合。
• 基座准入与复杂度预算：BaseImpactAssessmentV1、ComplexityDeltaBudgetV1、UnaffectedIntentRegression、replacementOrRetirementCredit、回滚与退役条件纳入 G4，避免后续规范继续侵入稳定基座。
• 专家输出与方案适配：OperationExplanationContractV1、ResponseProvenanceClosureGate、CodeTruthEvidenceMatrixGate、SolutionFitAgainstRepoGate、UniqueRecommendationBeforeConfirmGate、NoPreferenceMenuAfterConvergenceGate 归档，避免报告/方案脱离代码事实。
• 残留 F 项闭环：ContextReadBindingV1、CP digest 单源、public text current surface、Host identity、Validation DAG contract、Profile/release truth sync、workspace deployment manifest 与 memory transaction receipt 等 residual F 修复完成。
• 品牌/组件与 release gates：BrandVisualQualityGate、ComponentTransparencyTopologyGate、ProfileReleaseTruthAuthorityMatrixGate、RuntimeStateTransitionProjectionGate、CandidateFreezeGate、IsolatedConsumerCwdGate 与 release-verification R0~R7 作为发布门禁继续生效。

文档与分发口径

• README、网站首页、intro、Profile guide、release guide、versions index 与 v1/1.0.1 活动需求页同步为 v1.15.2。
• 根 CHANGELOG.md 新增 v1.15.2，并保留 v1.15.1 历史 release note；不改写既有 tag/draft release 历史。
• GitHub Packages 仍是当前唯一发布通道；安装需要 @vextjs:registry=https://npm.pkg.github.com 与具备 read:packages 的 GitHub PAT / NODE_AUTH_TOKEN。

验证

• node scripts/validate-versions.js
• node scripts/validate.js
• npm test
• npm run test:audit
• npm run test:package-release
• npm run release:dry-run:all
• npm pack --dry-run
• isolated pack install smoke
• remote CI success for release commit
• R7：git tag、GitHub Packages registry version/latest、fresh install smoke 与 workspace deployed-copy validation

发布通道

GitHub Packages only（@vextjs/devcodex），restricted；需 read:packages 安装认证，发布端需 write:packages。本版本不发布 npmjs public。